// תוכן עניינים
בשעה 20:20:59 UTC ב-29 באוקטובר 2026 נחתה ברשת האת’ריום עסקה עם עמלה של 14.46 דולר. היא לא העבירה כסף: שדה הסכום מראה אפס. מוקדם יותר באותו יום תרגל התוקף את התוכנית בארנקים משלו, והעביר 2 עד 6 דולר בכל פעם. שלוש דקות וחצי אחר כך עזבו 167,464 ETH ו-1.6 מיליארד דולר במטבע היציב USDT ארנק חם של Binance, שהאנליסטים מכירים בשם Binance 14. עד הבוקר העריכה הבורסה את הנזק בכ-6.3 מיליארד דולר. אנליסטים חיצוניים סופרים עד כה פחות, בין 5.3 ל-5.9 מיליארד דולר. השיא הקודם, הגניבה מבורסת Bybit בפברואר 2025, עמד על כ-1.5 מיליארד דולר.
ובכל זאת, הגודל אינו החלק המוזר ביותר. כמעט מחצית השלל, כ-3 מיליארד דולר, נעצרה בתוך שעות. לא בידי המשטרה, ולא בידי “הבלוקצ’יין עצמו”, אלא בידי קומץ חברות שיש להן כפתור הקפאה. מטבעות קריפטו הומצאו בדיוק כדי שלאף אחד לא יהיה כזה.
ייפוי כוח בארבעה עשר דולר
בורסה שומרת את כספי הלקוחות בשני סוגי ארנקים. ארנקים קרים מנותקים מהרשת ומחזיקים את עתודת הליבה. ארנקים חמים מחוברים תמיד: דרכם עוברות המשיכות היומיומיות, ולכן תמיד יש בהם יתרה שוטפת. בבורסה הגדולה בעולם היתרה הזו מגיעה למיליארדים.
מפתח המתקפה היה יכולת בשם EIP-7702. היא הגיעה לאת’ריום ב-7 במאי 2025 עם שדרוג Pectra. בפשטות, זה ייפוי כוח: ארנק רגיל מסמיך תוכנה חיצונית לפעול בשמו. היכולת נועדה לנוחות, כדי לאגד כמה פעולות בלחיצה אחת או לאפשר למישהו אחר לשלם את העמלה. רק הארנק עצמו יכול לחתום על הרשאה כזו. היא נשארת בתוקף עד שהבעלים מבטל אותה.
העסקה של 14.46 דולר הייתה בדיוק הרשאה מהסוג הזה. היא נשאה 50 הרשאות, וכל אחת מהן מסרה את Binance 14 לתוכנת “שואב” שהתוקף פרס ארבע שעות קודם לכן. אחת מהחמישים עבדה. דמיינו פנקס צ’קים שבו הרשאה תקפה רק לצ’ק עם מספר מסוים אחד. ארנק חם כותב “צ’קים” כאלה ללא הפסקה, ולכן המספר הבא קשה לניחוש. חמישים חתימות ברצף נראות כמו דרך להבטיח שאחת מהן תפגע.
השואב רוקן את Binance 14 בפעולה אחת והשאיר אתר אחד. ב-12 הדקות הבאות זרם כסף מעוד עשרה ארנקים חמים של הבורסה, בארבע רשתות, לאותה כתובת. כך שחזרה את המתקפה Blockaid, חברת אבטחת בלוקצ’יין.
איך השיג התוקף את חתימת הארנק, עדיין לא ברור. לפי התיאור הראשוני של Binance, הכול התחיל במחשב נייד שנפרץ של מהנדס DevOps, מי שמפעיל שרתים ופריסת תוכנה. דרך המחשב הזה הגיע הפורץ לקונטיינר שירות והגיש משם בקשות משיכה לא מורשות. הבורסה מוסרת שלא מצאה ראיות לדליפה של מפתח פרטי של אף ארנק. אם זה נכון, הגנב לא היה צריך לגנוב מפתח. הוא גרם למערכת של הבורסה עצמה לחתום בשבילו על ההרשאה.
// ציר זמן
- יוצאת עסקה עם 50 הרשאות לארנק Binance 14, עמלה 14.46 דולר.
- 167,464 ETH, 1.6 מיליארד USDT וכ-60 אסימונים נוספים עוזבים את Binance 14 בפעולה אחת.
- באמצעות הארנק שעדיין מוסמך נשאבים 780 מיליון USDC מארנק שכן של הבורסה.
- Circle מקפיאה יותר מ-800 מיליון USDC, Tether יותר מ-1.567 מיליארד USDT.
- Binance משעה הפקדות ומשיכות, מעריכה את הנזק ב-6.3 מיליארד דולר ומציינת מחשב נייד פרוץ של מהנדס כסיבה סבירה.
הכפתור שאין לביטקוין
USDT ו-USDC נקראים מטבעות יציבים. אלה דולרים דיגיטליים של שתי חברות פרטיות, Tether ו-Circle, שכל אחת מהן מבטיחה לפדות את האסימון שלה תמורת דולר. תכונה אחת שלהם עולה לעיתים רחוקות: המנפיק יכול לחסום כל כתובת ברשת. בתנאי השימוש של USDC Circle שומרת במפורש את הזכות לחסום העברות אל כתובת וממנה. ל-Tether יש אותה יכולת.
באותו לילה הן עשו זאת. מנכ"ל Tether, פאולו ארדוינו, כתב שהחברה הקפיאה יותר מ-1.567 מיליארד USDT. מנכ"ל Circle, ג’רמי אלייר, אמר שיותר מ-800 מיליון USDC נחסמו בתיאום עם רשויות האכיפה. Ripple עצרה כ-200 מיליון דולר מהמטבע היציב שלה, World Liberty Financial כ-27 מיליון. אפילו Arbitrum, רשת שמתארים בדרך כלל כמבוזרת, הקפיאה 74.56 מיליון אסימוני ARB בהחלטת מועצת האבטחה שלה.
// הלילה של 29 באוקטובר במספרים
עם אתר וביטקוין זה היה סיפור אחר. אין מנפיק, אין כפתור. חברת האנליטיקה Glassnode ספרה 17,985 ביטקוין בין הנכסים הגנובים, כ-1.45 מיליארד דולר. גם האתר מהשאיבה הראשונה נשאר אצל התוקף. אף אחד בעולם לא יכול לבטל העברה שנחתמה במפתח הנכון. מבחינת גנב, זו התכונה הטובה ביותר של ביטקוין. איך הגיע התוקף לארנקי הביטקוין הנפרדים של הבורסה, Binance עדיין לא חשפה. תיאוריית קונטיינר השירות, שבה המערכת עצמה חתמה על המשיכות, הייתה מסבירה זאת.
מציל עם זכות וטו
זה אבסורדי, בעצם. את הגניבה הגדולה בהיסטוריית הקריפטו כמעט חצי עצרו כלים שקריפטו “אמיתי” אמור שלא להכיר. ביטקוין התנהג בדיוק כפי שהמציא אותו יוצרו: העברה חתומה היא סופית. הדולרים הדיגיטליים התנהגו כמו בנק.
הכפתור שלקח מגנב מיליארד וחצי פועל נגד כל אחד. חברה לוחצת עליו, לא בית משפט. זה לוקח דקות. מי שמחזיק USDT אינו בעלים של דולר בחשבון אלא של ההבטחה של Tether לפדות את האסימון, וההבטחה הזו מגיעה עם הסתייגות. אנשים רבים ימצאו את העסקה הגיונית: גם בנקים חוסמים העברות חשודות. פשוט מטבע יציב קרוב יותר לחשבון בנק מאשר למזומן בכיס, והלילה הזה הראה את ההבדל טוב מכל הרצאה.
מה זה אומר ללקוחות Binance
לדברי הבורסה עצמה, ל-Binance יותר מ-335 מיליון משתמשים רשומים. בלילה של הפריצה היא השעתה הפקדות ומשיכות, ועד בוקר 30 באוקטובר לא אמרה מתי יחודשו. יי הא, מייסדת שותפה של Binance, הבטיחה שהבורסה “תכסה את כל הפסדי הפריצה” מקרן הביטוח SAFU וכספה שלה. המייסד צ’אנגפנג ז’או עקב אחרי הגניבה כמעט כצופה מהצד. “זה בהחלט נראה כמו פריצה ל-Binance”, כתב ב-X, וציין באותו פוסט שהוא כבר לא מנהל את הבורסה אך מצפה שכספי המשתמשים יכוסו במלואם.
מאז פברואר 2026 קרן SAFU מוחזקת בביטקוין, 15,000 מהם. במחיר של 30 באוקטובר זה בערך 1.2 מיליארד דולר. אם הערכת הבורסה נכונה, החלק שלא הוקפא בהפסד, כ-3.3 מיליארד דולר, גדול בכמעט פי שלושה. כלומר את רוב הפער יצטרכו למלא מכספה של הבורסה. הקרן עצמה, אגב, מחזיקה פחות ביטקוין ממה שלקח התוקף.
השווקים הגיבו מיד, אף שגם דוחות חלשים של חברות טכנולוגיה הכבידו עליהם. ביטקוין ירד מתחת ל-77,000 דולר, שפל של שישה שבועות. BNB, האסימון של הבורסה, איבד יותר מ-8% ביום.
מי עשה זאת, לא ידוע. חוקר הבלוקצ’יין ZachXBT וחברת Blockaid ציינו את צפון קוריאה כחשודה סבירה, אך איש עדיין לא ייחס רשמית את המתקפה. ה-FBI ייחס את גניבת Bybit לצפון קוריאה. לפי Blockaid, התוקף מימן את הפעולות הראשונות דרך Tornado Cash, מערבל שמטשטש את עקבות ההעברות. Binance מבטיחה ניתוח טכני מפורט לאחר שהעובדות יאומתו.
שנים מתווכחת קהילת הקריפטו אם לכסף דרוש כפתור עצירה. בלילה אחד כפתור כזה הציל כ-3 מיליארד דולר. הוויכוח כנראה יסטה עכשיו: מי מחליט, ולפי אילו כללים, מתי ללחוץ עליו?
